gottrix.app обработва файлове на 100% локално във вашия браузър: кодът за преобразуване няма достъп до никакъв външен сървър (наложено от Content-Security-Policy), затова качването е технически невъзможно. Доставянето става чрез TLS 1.2/1.3 с HSTS (2 години), пълен набор от заглавия за сигурност и хостинг в Hetzner, Германия. Всяко твърдение на тази страница можете да проверите сами.
Архитектура с нулево качване: сигурност чрез премахване
Обичайните онлайн конвертори качват файла ви на сървър, обработват го там и изпращат резултата обратно - всяка от тези стъпки е повърхност за атака. gottrix премахва напълно тази критична стъпка: двигателите (за изображения, PDF, аудио, видео и още) работят като WebAssembly директно във вашия браузър. Това, което никога не се предава, не може да бъде прихванато по пътя, не може да изтече от никой сървър и не може да бъде поискано от никого.
Това се налага чрез архитектура, а не чрез политика, с две строго разделени зони: кодът, който докосва байтовете на файла ви (двигатели и уеб работници), е ограничен до собствения си произход от Content-Security-Policy и не съдържа никакви мрежови извиквания - автоматичен тест проверява това при всяка компилация. Слоят на страницата, който никога не вижда файловете ви, може да достига само до документиран списък с разрешени домейни за анализ.
Двигатели и работници: 0 мрежови примитиви, никакви външни произходи - проверявано статично при всяка компилация.
Слой на страницата: външни заявки само към документирания списък с разрешени домейни за анализ, никога байтове на файлове.
Няма резервен вариант с качване: ако локалната обработка се провали, получавате честно съобщение за грешка - никога заобикаляне през сървър.
Доказателство офлайн: след първото ви посещение инструментите продължават да работят в самолетен режим - най-силното доказателство, че нищо не се изпраща.
Поток от данни: от твоето устройство до сървъра
Всяка заявка към gottrix.app преминава първо през Edge мрежата на Cloudflare, която прекратява TLS връзката и ускорява доставянето, преди да бъде препратена към основния сървър в Hetzner в Германия. Cloudflare и Hetzner обработват само технически данни за връзката, като IP адрес, заявен URL и времеви печат - никога съдържанието на файловете, защото то никога не напуска устройството ти. Незадължителната форма за обратна връзка добавя още два клона (Cloudflare Turnstile за защита от ботове, Resend за едно вътрешно известие); анонимната статистика за употреба преминава, само с твоето съгласие, директно от браузъра ти към Google Analytics 4. Пълната таблица на получателите с всички категории данни и правни основания е по-надолу на тази страница.
Получатели на твоите (свързани) данни
Таблицата по-долу изброява всеки външен получател, който обработва технически данни при работата на gottrix.app - генерирана от същия регистър като политиката за поверителност, така че двете страници никога не се разминават. Съдържанието на файловете ти не присъства в нито един ред, защото никога не достига до нито един от тези получатели.
Получатели на твоите (свързани) данни
Получател
Роля
Седалище
Категории данни
Правно основание
Механизъм на прехвърляне
Срок на съхранение
Hetzner Online GmbH
Origin-Hosting / Server-Zugriffslogs
Deutschland
Gekuerzte/maskierte IP-Adresse (im Caddy-Zugriffslog, GDPR-uebliche Truncation: IPv4 auf /24 = letztes Oktett genullt, IPv6 auf /48 = letzte 80 Bit genullt; Details siehe evidence); Zeitstempel; angefragte URL; User-Agent; HTTP-Statuscode; Feedback-Freitext + optionale Diagnosedaten (Browser/Plattform/Viewport/Client-Zeit) in der Feedback-DB, KEINE IP-Adresse und KEINE E-Mail-Adresse (laut Tabellenschema bewusst keine Spalte dafuer)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, stabilen Betrieb; fuer Feedback: berechtigtes Interesse an Missbrauchsschutz/Bearbeitung, optionale Diagnosedaten Art. 6 Abs. 1 lit. a DSGVO)
keine Drittlanduebermittlung (Sitz Deutschland/EU)
IP-Adresse (jeder Request, da Cloudflare TLS terminiert - nicht auf das Feedback-Formular beschraenkt); angefragte URL; User-Agent; Zeitstempel; TLS-/Verbindungsmetadaten; NEL-Fehlerberichte (Netzwerkfehler-Metadaten des Browsers); Turnstile-Challenge-Antwort-Token + optional die Besucher-IP als remoteip-Parameter (nur beim Absenden des Feedback-Formulars)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer, performanter Auslieferung und Missbrauchs-/Bot-Abwehr)
EU-Standardvertragsklauseln, ggf. EU-US Data Privacy Framework (konkrete Cloudflare-Vertragsgrundlage im Repository nicht dokumentiert - zu verifizieren, siehe offene Punkte)
Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG (Einwilligung); vor Einwilligung ausschliesslich anonyme Modellierungssignale ohne Cookie und ohne Personenbezug
EU-Standardvertragsklauseln, EU-US Data Privacy Framework
не може да се определи конкретно
Resend, Inc.
Transaktionale E-Mail (genau eine interne Benachrichtigung pro Feedback-Eingang)
USA
Feedback-Freitext (im E-Mail-Body); optionale Werkzeug-Kennung, Seiten-Pfad, Sprache, Zeitstempel (im E-Mail-Body); optionale Diagnosedaten (Browser/Plattform/Viewport/Client-Zeit), NUR bei separater ausdruecklicher Einwilligung; KEINE Besucher-IP-Adresse, KEINE Besucher-E-Mail-Adresse (laut Code nicht Teil der API-Payload)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Bearbeitung des Anliegens); fuer optionale Diagnosedaten Art. 6 Abs. 1 lit. a DSGVO (gesonderte Einwilligung)
EU-Standardvertragsklauseln, soweit einschlaegig EU-US Data Privacy Framework
обикновено 180 дни
Срокове на съхранение накратко
Всички известни срокове на съхранение на gottrix.app, на едно място, конкретно, а не общо:
Срокове на съхранение накратко
Дневници за достъп на сървъра (Hetzner, произход)
90 дни
Изпратени съобщения от формата за обратна връзка (база данни)
обикновено 180 дни
Google Analytics 4 (статистика за употреба)
не може да се определи конкретно
Срокът на съхранение на Google Analytics 4 се настройва в имота на Google Analytics, а не в изходния код на gottrix.app - конкретната стойност не може да бъде проверена оттук. Всички правни основания са в политиката за поверителност.
Пренос: TLS и HSTS
Уебсайтът се доставя изключително чрез HTTPS - TLS 1.2 и 1.3 със съвременни шифрови комплекти и автоматично управлявани сертификати. HTTP Strict Transport Security (HSTS) е зададен с max-age=63072000 (2 години), включително поддомейни: така браузърът сам налага HTTPS при всяко бъдещо посещение. За яснота: съдържанието на файловете ви никога не минава през тази връзка, защото никога не напуска устройството ви - криптирането на преноса защитава доставянето на самия сайт.
HTTP заглавия за сигурност
Всеки отговор от сървъра носи пълен набор от заглавия за сигурност. Стойностите са конфигурация, а не пожелание: автоматичен тест прекратява всяко разгръщане, при което някое от тях липсва или се различава.
Деактивира 12 API за устройства и сензори (местоположение, USB, както и API на приватната пясъчна кутия (privacy sandbox) Attribution-Reporting/Browsing-Topics/Interest-Cohort и други), от които сайтът няма нужда; разрешени остават само режимът на цял екран, споделянето на екрана, камерата и микрофонът (за съответните инструменти за запис) за собствения произход.
Cross-Origin-Opener-Policy: same-origin
Изолира прозореца на браузъра от външни сайтове, които са го отворили.
Cross-Origin-Resource-Policy: same-origin
Пречи на чужди сайтове да вграждат или да четат ресурси от този произход.
Пълният текст на Content-Security-Policy
CSP е техническата ключалка зад гаранцията за нулево качване. Тя се генерира от единствен изходен файл и се показва тук на живо точно от този източник - всички 17 директиви, без съкращения:
Google CSP Evaluator (проверено на 09.07.2026 г.): 0 констатации с висока степен на сериозност. Освен собствения произход, connect-src разрешава само документирания списък с разрешени домейни за анализ на слоя на страницата - метаданни, никога съдържание на файлове.
Съществуващата политика Content-Security-Policy (default-src 'self') едновременно действа и като техническа блокировка на реклами: тя по принцип не позволява на доставения код да установява връзка с какъвто и да е чужд източник (origin). Дори случайно вмъкнат рекламен или проследяващ скрипт не би могъл да работи заради това - браузърът блокира всяка такава връзка съгласно тази политика. Това не е обявление, а свойство на съществуващата архитектура, което може да се провери в изходния код.
Съзнателно решение: API интерфейсите на Privacy Sandbox остават блокирани
Редът Permissions-Policy по-горе напълно блокира browsing-topics=(), attribution-reporting=() и interest-cohort=() - това не е случайна настройка, а съзнателно, постоянно решение. Тези три API интерфейса са част от „Privacy Sandbox“ на Google: заместващи механизми на класическата бисквитка за проследяване, които биха позволили на самия браузър да изгражда профили на интереси или да съхранява данни за приписване на реклами. Блокирането им не е техническа подробност за gottrix, а отличителна характеристика, съответстваща на архитектурата с нулево качване: там, където съдържанието на файловете вече никога не напуска браузъра, вътрешен за браузъра профил на интереси също няма място.
Рекламни мрежи
Към дата 2026-07-25: В момента gottrix не включва никакви рекламни мрежи. Ако това се промени, това ще бъде оповестено тук и в политиката за поверителност преди влизането на промяната в сила.
Независима проверка
Планирани са три външни проверки, които ще се извършат срещу действащия домейн при публичното пускане: SSL Labs (конфигурация на TLS), Mozilla Observatory (състояние на HTTP сигурността) и securityheaders.com (пълнота на заглавията). Резултатите се показват и свързват едва след като сканиранията действително са извършени - gottrix принципно никога не показва непроверени печати или оценки, и това се налага от автоматичен тест при всяка компилация.
Хостинг и местоположение на данните
Изходните сървъри се управляват от Hetzner Online GmbH в Германия и се подчиняват на ОРЗД. На тях се намира само статичният уебсайт: няма потребителски акаунти, няма съдържание на файлове, няма база данни за съдържание. Логовете на сървъра съдържат само технически необходими данни за достъп със срок на съхранение 90 дни; съществува договор за обработка на данни с Hetzner. Тъй като обработката на файлове се извършва локално във вашия браузър, съдържанието на файловете ви така или иначе никога не достига до това местоположение.
Статистика и съгласие
Анонимната статистика за употребата (Google Analytics 4 с Consent Mode v2 Advanced) стартира с всички сигнали, зададени на отхвърлено: без вашето съгласие не се задава никакъв статистически бисквитка и не се създава никакъв идентификатор. При съгласие се измерват най-много прегледите на страници и идентификаторът на използвания инструмент - никога имена на файлове, размери на файлове или съдържание на файлове. Всички подробности и правни основания са в политиката за поверителност.
gottrix приключва проверка за поверителност или сигурност, вместо да я открива: тъй като съдържанието на файловете никога не напуска браузъра, за него технически не се извършва предаване към нас - а без предаване няма и обработка, която проверката изобщо би трябвало да спре. Това важи независимо от това кой отваря файла: адвокатска кантора, лекарски кабинет, данъчна консултация, отдел „Човешки ресурси“, държавен орган или частно лице.
За съдържанието на файловете не възниква договор за обработване на данни, защото не се извършва никакво предаване - при gottrix няма операция по обработване, която договор би трябвало да урежда. За доставянето на уебсайта, статистиката за употреба, базирана на съгласие, и отделната форма за обратна връзка операторът е администратор, а не обработващ данните. От това следва: договор за обработване на данни по чл. 28 GDPR не е нито необходим, нито правно подходящ за използването на самите инструменти - затова съзнателно не предлагаме шаблон за такъв договор за обработка на файлове.
Тази оценка се отнася изрично само до съдържанието на файловете. За доставянето на сайта чрез Cloudflare и статистиката за употреба (Google Analytics 4) самият gottrix е администратор на лични данни, и за тези услуги съществуват договори за обработване на данни със съответните доставчици (вж. политиката за поверителност). Онези, които се нуждаят от такъв договор за нивото на уебсайта, ще намерят договарящите страни там - но не и за съдържанието на файловете, защото за него няма операция по обработване, която договорът би трябвало да покрива.
По професия и отрасъл
Адвокати и адвокатски кантори
Досиетата на клиентите са защитени от задълженията за адвокатска тайна и в Германия са наказателноправно защитени съгласно § 203, ал. 1, т. 3 от Наказателния кодекс (StGB). По наша оценка - не правен съвет за вашия конкретен случай - използването на gottrix структурно не променя нищо в това: файл, който никога не достига до чужд сървър, не се разкрива и на никого.
Нарушавам ли задължението си за поверителност, като обработвам досие на клиент с gottrix?
По наша оценка не, защото не настъпва разкриване: файлът технически остава на вашето устройство, gottrix никога не го вижда. Обвързващ отговор за вашия конкретен случай може да даде само вашата адвокатска колегия или специално ангажиран правен консултант.
Нужен ли ми е договор за обработване на данни с gottrix?
За съдържанието на файловете - не, не се извършва обработка, която такъв договор би трябвало да урежда (вж. модела на роли по-горе). Това не важи за статистиката на уебсайта - вж. параграфа за разделянето на нивата.
Лекари и медицински практики
Пациентските досиета попадат под лекарската тайна и в Германия - под § 203, ал. 1, т. 1 от StGB, и обичайно се считат за данни за здравето по чл. 9 GDPR. По наша оценка важи същото структурно съображение, както при адвокатите: без предаване няма разкриване пред gottrix.
Мога ли да преобразувам лекарско писмо или резултат от изследване с gottrix?
По наша оценка да, защото файлът никога не напуска устройството ви - не възниква достъп на трета страна до съдържанието. За особено чувствителни процеси допълнително се препоръчва вътрешно съгласуване с ИТ отдела или отговорника по защита на данните на вашата практика или клиника.
Данъчни консултанти и одитори
Данъчните консултанти, заклетите счетоводители и одиторите попадат под същата разпоредба за защита на тайната като адвокатите и лекарите (в Германия - § 203, ал. 1, т. 3 от StGB), в допълнение към собствените си професионални задължения за поверителност. Файловете на клиенти и документите за годишни финансови отчети, преобразувани с gottrix, при това никога не напускат устройството.
Мога ли да обработвам разписки на клиент или PDF файлове на годишен финансов отчет с gottrix?
По наша оценка да, поради същата структурна причина като при адвокатите: няма предаване, няма разкриване. Окончателната оценка за вашата кантора или одиторско дружество прави вашата професионална камара или вашият вътрешен екип по комплаянс.
Отдели „Човешки ресурси“ и персонал
Фишовете за заплата, трудовите договори и документите за кандидатстване за работа са лични данни, някои от които особено чувствителни по GDPR - не е нужно ново специално правило, за да се стигне до същия резултат: тъй като файлът никога не отива на сървър извън устройството, самото използване на gottrix не създава допълнително обработване по смисъла на чл. 4, т. 2 от GDPR.
Можем ли да преобразуваме фишове за заплата или трудови договори с gottrix?
По наша оценка да - не възниква допълнителна стъпка на обработване, защото файлът остава локален. Вътрешно съгласуване с вашия отдел за защита на данните остава разумно, но не заменя собствената ви преценка за конкретния случай.
Държавни органи и публичен сектор
Наред с GDPR държавните органи често са обвързани със собствено служебно задължение за поверителност, което варира според региона, ведомството и сферата на компетентност - тук съзнателно не посочваме една конкретна норма, тъй като тя се различава според юрисдикцията. Структурната същност остава същата: файл, който gottrix никога не получава, не може да бъде и неправомерно разкрит от нас.
Можем ли да използваме gottrix за служебни документи, ако облачните услуги не са разрешени при нас?
Често да, защото преобразуването не включва качване - точно критерият, към който обикновено е насочена забраната за облак. Обвързващото съгласуване е задача на вашия собствен отдел за ИТ сигурност или защита на данните въз основа на вашите собствени правила.
Фирми като цяло (B2B)
Договори, вътрешни калкулации, документи за M&A сделки или данни за персонала - за всякакъв вид търговска тайна или поверителен документ важи същото структурно предимство: няма стъпка на качване, при която трета страна би могла да прочете съдържанието.
Подходящ ли е gottrix за търговски тайни и поверителни договори?
По наша оценка да, защото файлът никога не напуска устройството - нарушение на поверителността чрез предаване е структурно изключено, а не само обещано по договор. Вътрешно съгласуване съгласно собствената ви ИТ политика остава разумно във всеки случай.
Частни лица
Фиш за заплата, договор за наем, резултат от изследване, банково извлечение: дори без професионално задължение за тайна, личен файл засяга само вас самите. Тъй като gottrix никога не го вижда, никой от нас не може случайно да го препрати, да го загуби или да го използва за нещо друго.
Безопасно ли е да обработвам фиша си за заплата или документ за самоличност с онлайн инструмент?
С gottrix - да, защото не се извършва качване: файлът остава единствено в паметта на собственото ви устройство. Въпреки това важи общото правило: споделяйте резултата впоследствие само с онези, които наистина се нуждаят от него.
Какво няма gottrix
Няма сертификация ISO 27001.
Няма SOC 2 (Type I или II).
Няма единен вход (SSO) или федерация на идентичността за корпоративни акаунти.
Няма договорно споразумение за ниво на обслужване (SLA) за поддръжка.
Тези пропуски са посочени съзнателно, а не скрити: проверка, която приключва с признат пропуск, е по-честна от такава, която се проваля при открит такъв.
Контакт за длъжностни лица по защита на данните: info@gottrix.app
Отговорно оповестяване
Открихте уязвимост? Радваме се на отговорни съобщения. Моля, тествайте единствено спрямо собственото си устройство или браузър, без да предизвиквате загуба на данни, прекъсване на услугата или достъп до чужди потребителски данни - при архитектурата с нулево качване на gottrix това на практика означава: заобикаляне на CSP, XSS, грешни конфигурации на хедъри или TLS и подобни уеб уязвимости на самата доставяна страница.
Тестове, извършени добросъвестно съгласно тази политика, не водят до правно преследване от страна на gottrix. Потвърждаваме получаването, приоритизираме по тежест и ви държим в течение на напредъка - в момента като соло проект без фиксирано SLA за време за реакция, но с истински интерес към всяко съобщение.
Сигурността му се основава на архитектурата, а не на обещания: файловете се обработват изключително локално във вашия браузър и никога не се предават на сървър - строга Content-Security-Policy забранява на кода за преобразуване всякаква външна връзка. Към това се добавят TLS 1.2/1.3 с HSTS, пълен набор от заглавия за сигурност и хостинг в Германия. Всяка от тези точки можете сами да проверите в изходния код, в мрежовия раздел или чрез теста в самолетен режим.
Качват ли се или се съхраняват ли моите файлове някъде?
Не. Преобразуването се извършва изцяло в паметта на вашия браузър; не съществува никаква крайна точка за качване и никакво съхранение на страна на сървъра за съдържанието на файловете. Content-Security-Policy отказва на кода на двигателите и работниците всякаква връзка с външни сървъри, и автоматичен тест проверява това при всяка компилация. Затворете раздела и данните изчезват - няма нищо, което да трябва да се изтрива на сървъра.
Какво криптиране използва gottrix.app?
Уебсайтът се доставя изключително чрез HTTPS с TLS 1.2 и 1.3 и съвременни шифрови комплекти; HSTS налага HTTPS за две години, включително поддомейни. Съдържанието на файловете ви само по себе си никога не минава през никаква връзка, защото никога не напуска устройството ви - криптирането на преноса защитава доставянето на сайта и незадължителните метаданни за употреба, базирани на съгласие.
Къде се хостват сървърите?
Изходните сървъри се управляват от Hetzner Online GmbH в Германия, съгласно ОРЗД. На тях се намира само статичният уебсайт: няма потребителски акаунти, няма съдържание на файлове, няма база данни за съдържание. Тъй като обработката се извършва локално във вашия браузър, местоположението на сървъра е без значение за съдържанието на файловете ви - то никога не го достига.
Как мога сам да проверя тези твърдения за сигурност?
Три начина, които не изискват специални знания: тестът в самолетен режим (отворете инструмент, прекъснете връзката, преобразувайте - продължава да работи), мрежовият раздел на инструментите за разработчици (F12: няма заявка за файл по време на преобразуването) и заглавията на отговора, които всеки браузър може да покаже. Ръководството стъпка по стъпка е на страницата с доказателства; при публичното пускане ще се добавят външни сканирания от SSL Labs, Mozilla Observatory и securityheaders.com.
Какви данни изобщо събира gottrix?
Без вашето съгласие: никакви статистически бисквитки и никакви идентификатори, само технически необходими логове на сървъра със срок на съхранение 90 дни. При съгласие Google Analytics 4 измерва обобщена употреба, например прегледи на страници и идентификатора на използвания инструмент; имена на файлове, размери на файлове и съдържание на файлове никога не се записват. Пълните правни основания и начинът за оттегляне на съгласието са в политиката за поверителност.
Проверимост: как да проверите това сами
Всяко твърдение на тази страница можете да проверите сами с вече налични у вас средства - от теста в самолетен режим до мрежовия раздел на инструментите за разработчици. Пълното пошагово ръководство е на страницата с доказателства. Скриптът за проверка зад тази гаранция сам е открит в изходния код на този проект, в oss/gate-null-upload-static/ - за преглед и повторна употреба.
Регистрите на получатели, поток от данни и твърдения на тази страница се генерират от изходни файлове; датата по-долу е тяхната последна действителна промяна в историята на версиите, не се поддържа ръчно.
Последна актуализация: 2026-07-25
Само с вашето съгласие измерваме употребата анонимно чрез бисквитки, за да подобряваме gottrix. Вашите файлове винаги остават локално, на вашето устройство. Поверителност